ssl - certbot 使用弱 diffie hellman 加密

Question

我在这里阅读

https://weakdh.org/

如果我验证安全性

https://www.ssllabs.com/ssltest/analyze.html

在我的一个使用certbot的网站中，我因此被评为 B

有解决办法吗？

certbot 基本上是许多系统的https://letsencrypt.org/的实现。

Answer 1

我刚刚遇到了同样的问题。此处描述了核心问题： https ://weakdh.org/

据我了解，大多数 Web 服务器以相同的默认质数集启动 Diffie-Hellman，后来发现这是一个安全漏洞。解决方法是为您站点的 Diffie-Hellman 密钥协商生成新的质数。此页面有详细信息：https ://weakdh.org/sysadmin.html

简而言之，运行openssl dhparam -out dhparams.pem 2048，然后在您的 nginx 服务器配置块中添加生成文件的路径：

ssl_dhparam {path to dhparams.pem};

例如，我把我的放进去/etc/letsencrypt，所以我跑了

sudo openssl /etc/letsencrypt/dhparam -out dhparams.pem 2048

并添加

ssl_dhparam /etc/letsencrypt/dhparams.pem;

在我的服务器块中的其他 Certbot 配置行下。

重新启动 nginx 后，sudo service nginx restart我在 ssllabs.com 上获得了 A 级。

我希望这有帮助。